Ransomware derruba sistemas hospitalares nos EUA por semanas

Quando um Gigante da Saúde Para por Semanas

Em maio de 2024, o sistema de saúde Ascension, uma das maiores redes hospitalares privadas dos Estados Unidos, foi alvo de um ataque de ransomware que derrubou sistemas críticos em 140 hospitais distribuídos por 19 estados. O prontuário eletrônico, os telefones e os sistemas de pedido de exames, procedimentos e medicamentos ficaram fora do ar por cerca de cinco semanas, até 14 de junho de 2024. Médicos e enfermeiros voltaram ao papel e caneta para registrar procedimentos, em cenas que pareciam tiradas de décadas atrás.

O desfecho foi ainda mais grave: dados de quase 5,6 milhões de pacientes e funcionários foram roubados, incluindo informações médicas, documentos de identidade e dados financeiros. A CNN ligou o ataque ao grupo Black Basta, o que a Ascension não confirmou publicamente, e a Ascension notificou autoridades como a CISA e o FBI, além de enviar cartas a 5.599.699 pessoas afetadas.

Diante de um caso desse porte, uma pergunta inevitável surge: se uma rede com 140 hospitais, equipes de TI dedicadas e orçamentos milionários ficou paralisada por semanas, o que aconteceria com uma clínica, um laboratório ou uma operadora de saúde de menor porte sob o mesmo ataque?

O Que Esse Caso Significa Para a Sua Empresa

O ransomware no setor saúde não é novidade, mas o caso Ascension ilustra uma realidade que muitos gestores ainda subestimam: ataques cibernéticos não escolhem tamanho de empresa. Eles escolhem vulnerabilidade. E, paradoxalmente, empresas menores costumam ser alvos mais fáceis, exatamente por terem menos recursos de defesa.

A paralisação operacional é apenas a primeira camada do problema. Enquanto os sistemas estão fora do ar, a empresa para de faturar, perde a confiança de clientes e parceiros, e ainda enfrenta o custo da recuperação técnica. No caso de organizações que lidam com dados sensíveis de pessoas, como clínicas, consultórios, laboratórios e operadoras de planos de saúde, há ainda a exposição regulatória. No Brasil, a LGPD exige comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante, com multas de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitadas a R$ 50 milhões por infração (Lei 13.709/2018).

Gestores de PMEs frequentemente acreditam que estão fora do radar dos criminosos digitais. Mas grupos especializados em ataques ransomware a sistemas hospitalares e empresas de saúde operam de forma industrializada: varrem a internet em busca de sistemas desatualizados, credenciais expostas e portas abertas. O tamanho da empresa importa pouco quando a vulnerabilidade está ali, acessível.

Segundo a pesquisa State of Ransomware 2021, da Sophos , com 5.400 gestores de TI de empresas de 100 a 5.000 funcionários, o custo médio de recuperação de um ataque de ransomware chegou a US$ 1,85 milhão, somando inatividade, pedidos perdidos e custos operacionais. Para muitas PMEs, esse valor representa literalmente o fim do negócio.

O Que Pode Ser Feito, na Prática

A boa notícia é que a maioria dos vetores de ataque utilizados em casos como o da Ascension pode ser bloqueada com um conjunto bem implementado de capacidades de segurança cibernética para saúde e empresas em geral. Veja o que faz diferença real:

• Monitoramento contínuo 24/7: Ataques de ransomware raramente acontecem de um segundo para o outro. Há uma fase de movimentação lateral, em que o invasor se espalha pela rede antes de acionar a criptografia. Um sistema de monitoramento ativo detecta comportamentos anômalos nessa fase e permite interromper o ataque antes da detonação.
• EDR com resposta automatizada: Soluções de detecção e resposta em endpoints identificam padrões de comportamento malicioso em tempo real e isolam automaticamente dispositivos comprometidos, evitando que a infecção se espalhe para o restante da rede.
• Backup imutável e plano de recuperação de desastres: Mesmo que um ataque seja bem-sucedido, backups imutáveis, armazenados em ambientes isolados e testados regularmente, permitem restaurar sistemas em horas, não em semanas. Esse é um dos diferenciais mais críticos entre uma empresa que sobrevive a um ataque e uma que fecha.
• Gestão de patches e atualizações: Grande parte dos ataques explora vulnerabilidades conhecidas em sistemas que simplesmente não foram atualizados. Um programa estruturado de gestão de patches fecha essas portas de forma sistemática e documentada.
• Treinamento e conscientização de equipe: O fator humano continua sendo o ponto de entrada mais comum. E-mails de phishing, links maliciosos e senhas fracas são responsáveis por uma parcela significativa dos incidentes. Programas contínuos de treinamento reduzem drasticamente esse risco.

A Pergunta Estratégica

Se os sistemas da sua empresa fossem criptografados por ransomware agora, em quanto tempo você conseguiria retomar as operações normalmente?

Se a resposta for "dias" ou "não sei", essa é exatamente a conversa que precisa acontecer. Resiliência cibernética não é sobre ter certeza de que um ataque nunca vai acontecer. É sobre garantir que, se acontecer, o impacto seja controlado e a recuperação seja rápida.

Serviços de TI gerenciada combinam monitoramento 24/7, EDR, backup imutável, gestão de patches e treinamento em uma camada integrada de proteção, projetada exatamente para o perfil de PMEs que não têm equipe interna para sustentar tudo isso sozinhas. O resultado é um nível de proteção e capacidade de recuperação que antes era acessível apenas a grandes corporações. E a tranquilidade de saber que, mesmo diante de uma ameaça séria, a empresa tem o que precisa para continuar de pé.

O setor de saúde aprendeu uma lição dura com o caso Ascension. A boa notícia é que outras empresas podem aprender sem precisar passar pelo mesmo.

Referências

• BleepingComputer, Ascension: Health data of 5.6 million stolen in ransomware attack
• BleepingComputer, Ascension healthcare takes systems offline after cyberattack

Quer entender qual é o nível de exposição da sua empresa a ameaças como essa? Fale com a equipe da Zamak para uma Consultoria Inicial Cortesia e saia com um diagnóstico claro do que proteger primeiro.